基于统一认证、授权平台的应用系统安全解决方案.pdfVIP

(4)实现了数据的自动传输。系统的微机接口，实现检测、探伤、检修等各工位工作程度 与货车信息系统直接传输，改变了由人工输入的作业方式，使黼动梁检测、检修数据通过服务 器传输至铁路局、铁道部货车检修管理系统，保证了传输信息的准确与及时。 7系统的使用效果 本系统在呼铁局集宁车辆段使用近两年，通过不断完善，各项功能均达到了设计要求，各 项性能指标均能满足铁道部检修规程要求，信息传输系统也达到了快捷、准确，满足货车信息 管理系统的要求。整个系统操作方便，整机设计构思先进，提高了货车制动梁检测检修水平， 提高TT作效率，减轻了工人的劳动强度，受到现场工作人员的好评。 基于统一认证、授权平台 的应用系统安全解决方案 刘刚 铁道部信息技术中心网络管理部 摘要：本文结合中国铁路应用与网络现状和安全需求，并结合统一认证授权模型，采用数字 证书认证方式，通过基于角色和组的授权保证细颗粒度的访问控制。模型采用了集中 式的认证、授权以及用户管理。 统一认证授权平台的实现过程中与数据复制技术和分级授权技术进行有机结合， 使平台具有进行跨域认证授权的效果和海量用户的授权管理能力。本文对安全平台 针对不同用户的安全访问框架进行了研究，并提出了相应的解决办法。安全平台的建 设极大的推动了铁路信息安全的发展。并填补了国内在大型认证授权平台方面的 空白。 关键词：数字证书认证基于角色的访问控制认证授权平台 单点登录 1统一认证授权平台 1．I铁路的网络现状和应用分布 铁路网络是一个广域网，连接全国14个路局下辖的所有车站、行政机关等。铁路网络是 一个具有明显层次划分的网络，从内向外可分为：核心网，内部办公服务网和外部网。核心网 中运行着支撑铁路运营的所有的核心应用，如7ms、TMIS、DMIS等等，核心网是铁路网安全防 护中必须要确保安全的区域。内部办公服务网运行着铁路的办公网OA和其他一些辅助服务 网络应用。外网放置一些面向路内外的应用服务，如邮件服务器，介绍性质的Web应用等等。 外部网通过防火墙与Internet相连。安全性最差，也是防御等级最低的区域。统一认证授权平 台(以下简称平台)是统一认证授权模型的具体实现，现实平台的功能实现严格反映了模型的 设计特点。 1．2平台规划、部署与实现 全路网络和分布式应用划归为63个区域，每个区域均有网络层次划分，按照层次可分为 147 核心网安全域、内网安全域和外网安全域，实际上，核心网和内网之间虽然有防火墙隔离，但没 有进行IP转换，且用户均在内网访问核心网，因此把核心网安全域和内网安全域合并为一个 安全域，称为内部安全域。每个安全域均配有一套完整的平台，内部安全域的平台部署在内 网，负责所有用户管理和内部网与核心网认证授权，外网平台负责对路外用户的身份认证和 授权。 平台的具体实现如图1所示。 图1平台结构图 平台实现把Agent嵌入到了实际的应用中，这样可以针对具体应用实现不同的安全 策略。用单一的Agent过滤所有的应用访问是不合理的也不切实际，容易使Agent成为系统的 瓶颈。平台用认证服务器(IS)把逻辑结构中的As和Rs统一到一起。平台之中的目录服务 器(Ds)为LDAP服务器，存储用户的属性、角色信息等，也存放系统的角色管理信息，如角色 的集合，角色与权限的映射关系，角色的继承关系等。 图1可以简化为图2。 图2统一授权平台实现简化图 为了提高平台的可用性和可靠性，每个安全域有两组平台，其中一组为备份平台，因此在 具体实现时每个区域有四组平台构成。 全路的63个区域的平台通过铁路骨干网相连，形成完整的可以支撑全路铁路应用的铁路 148 统一安全平台，如图3所示。 图3铁路统一安全平台整体示意图 1．3平台特性 认证服务器支持多种认证方式，包括lYl令方式、数字证书方式、Radius、Unix等多种认证方 式，身份